slow

Giám đốc An ninh Thông tin của Slow Mist 23pds cảnh báo, IPA độc hại có thể lợi dụng worse_query để đọc các container ứng dụng khác, dữ liệu ví được lưu trữ dưới dạng văn bản có thể đối mặt với rủi ro.

Người sáng lập Slow Fog, Yu Xian, đã đăng bài trên nền tảng X cho biết, iOS lại một lần nữa phát hành bản cập nhật bảo mật, độ an toàn của iPhone đã không còn như trước, các loại khai thác độc hại đang xuất hiện.Ông nhắc nhở người dùng không nên cài đặt ứng dụng tùy tiện hoặc mở các trang web lạ, đặc biệt là các trang web liên quan đến khiêu dâm, và cho biết rằng những loại nhắc nhở này trước đây chủ yếu nhắm vào Windows.

Chậm Sương Phân Tích cho biết, kẻ tấn công đã sử dụng cùng một giao dịch Optimism để tạo ra năm biên lai giả mạo, nguồn gốc chưa được ký tên không được ủy quyền vẫn đang được điều tra.

Chậm Sương xác nhận, một phần mềm Windows giả mạo phiên bản crack TradingView Premium sẽ đánh cắp thông tin xác thực trình duyệt, ví tiền mã hóa và dữ liệu Telegram.

Giám đốc an ninh thông tin của Slow Fog 23pds đã đăng trên nền tảng X rằng lỗ hổng thực thi mã từ xa không cần nhấp chuột trên Android đã được đưa vào bản vá bảo mật tháng 11, khuyến nghị người dùng nhất định phải nâng cấp. Google đã thông báo vào tháng 11 năm 2026 rằng họ đã sửa chữa hơn 200 lỗ hổng, trong đó nghiêm trọng nhất là lỗ hổng CVE-2026-58868 ở lớp Framework (Critical), cho phép thực thi mã tùy ý từ xa mà không cần tương tác của người dùng và quyền bổ sung, ảnh hưởng đến Android 14, 15, 16, 16 QPR2 và 17. Hiện tại chưa có xác nhận nào về việc khai thác lỗ hổng này.23pds cho biết, các phiên bản có mức độ bản vá bảo mật từ 2026-11-01 trở đi bao gồm các sửa chữa Framework/System như CVE-2026-58868; các phiên bản từ ngày 5 tháng 11 trở đi bao gồm tất cả các lỗ hổng trong đợt này, bao gồm sửa chữa cho lớp chip như kernel, MediaTek, Qualcomm. Người dùng có thể xem "mức độ bản vá bảo mật" trong "Cài đặt → Giới thiệu về điện thoại → Phiên bản Android".

Giám đốc an ninh thông tin của Slow Mist 23pds đã đăng trên nền tảng X rằng, tổ chức chuyên nghiệp APT29 liên quan đến Đông Âu đang phát tán công cụ khai thác lỗ hổng iOS và Android thông qua các trang web bị xâm nhập và các kịch bản công cụ phân tích mạng bị chiếm đoạt.Ông chỉ ra rằng, DarkSword và AndroSnitch đã bắt đầu tấn công hàng loạt, các trang web hoặc ứng dụng bình thường mà người dùng truy cập có thể chứa backdoor. Ông khuyên người dùng nâng cấp hệ thống lên phiên bản mới nhất.

Người sáng lập công ty an ninh blockchain Slow Mist, Yu Xian, đã đăng bài trên nền tảng X cho biết, nhiều người sau khi xem quá trình bị đánh cắp được Binance công bố, cho rằng kỹ sư liên quan đã phạm phải những sai lầm cơ bản và có quyền hạn quá lớn.Yu Xian cho biết, các sự kiện như vậy thuộc về mối đe dọa liên tục cao cấp (APT), liên quan đến việc khai thác tính người, thu thập thông tin, mã độc miễn dịch, khai thác chuỗi tin cậy, tấn công ngang có mục tiêu, xâm nhập môi trường đám mây, vượt qua kiểm soát rủi ro và các lỗ hổng 0day, không thể chỉ nhìn vào giai đoạn xã hội ban đầu.

Theo thông tin từ Slow Fog, nhân viên an ninh của họ trong quá trình kiểm tra thông tin đe dọa hàng ngày đã phát hiện ra rằng kịch bản liên quan đến hệ thống dịch vụ khách hàng Udesk udeskApi.2026-10-16.cached.js đã bị chèn mã độc. Mã độc này ẩn địa chỉ bằng mã hóa thập lục phân và tải kịch bản từ xa deeps.js một cách bất đồng bộ (nguồn từ udeskqlobal[.]com, lưu ý tên miền bắt đầu bằng chữ cái q). Kịch bản này sẽ đọc Cookie, localStorage và sessionStorage có thể truy cập trên trang, và chặn các yêu cầu liên quan đến biểu mẫu, đăng nhập, xác thực, gửi dữ liệu đến udeskqlobal[.]com/c.php, kẻ tấn công có thể lợi dụng điều này để mạo danh phiên hoặc chiếm đoạt tài khoản. Hành vi thu thập dữ liệu này không bị giới hạn bởi quy tắc của trang web mục tiêu, các trang không khớp cũng có thể bị ảnh hưởng.Theo phân tích của Slow Fog, kịch bản này còn nhắm đến ba loại trang mgbx[.]com, bikingex[.] và bitxex[.]io, quét trang nạp tiền mỗi 200 mili giây, và thay thế địa chỉ nạp tiền được nhận diện bằng các địa chỉ BTC, EVM, TRON, Solana, LTC và DOGE đã được thiết lập trước. Đồng thời, kịch bản này thông qua việc bọc API clipboard, thay thế nút sao chép và chặn sự kiện sao chép, khiến người dùng thấy và sao chép đều là địa chỉ đã bị sửa đổi. Nếu người dùng chuyển tiền theo địa chỉ này, tiền sẽ chảy vào địa chỉ của kẻ tấn công.

SlowMist đã phát hành cảnh báo an ninh cho biết, NEM đã bị tấn công, thiệt hại khoảng 821,920 USD. Nguyên nhân cơ bản là do NemTokenV2 đã ghi nhận số token chuyển vào bể thanh khoản (LP) vào khối lượng bán ra, nhưng không xác minh việc quy đổi và thanh toán.Kẻ tấn công đã lợi dụng lỗ hổng này, thực hiện lệnh chuyển khoản lặp đi lặp lại, gọi skim() để xóa token chuyển vào và gọi flushLpSellRecycle() tổng cộng 42 lần, phá hủy dự trữ ban đầu của bể thanh khoản và làm giảm số dư dự trữ NEM, sau đó bán số NEM còn lại với giá cao hơn, rút USDT.

Cảnh báo an ninh của Slow Mist cho biết, PHP đã phát hành thông báo an ninh vào ngày 20 tháng 10, công bố hai lỗ hổng an ninh nghiêm trọng có thể dẫn đến thực thi mã từ xa (RCE), được đánh số lần lượt là CVE-2026-109618 và CVE-2026-109619, với điểm số CVSS v4 đều là 9.2. Hiện tại, PHP vẫn chưa phát hành bản vá sửa lỗi, các phiên bản bị ảnh hưởng cụ thể và điều kiện khai thác vẫn đang chờ xác nhận.Theo thông tin hiện có, PHP dự kiến sẽ phát hành bản cập nhật an ninh vào lúc 14:00 UTC ngày 21 tháng 10 (22:00 giờ Bắc Kinh). Slow Mist khuyến nghị các tổ chức liên quan nhanh chóng kiểm tra phiên bản PHP trên máy chủ và hệ thống kinh doanh, chú ý đến các dịch vụ PHP công khai, và kịp thời nâng cấp sau khi bản vá được phát hành; các hệ thống không thể nâng cấp tạm thời nên hạn chế nguồn truy cập và thực hiện biện pháp cách ly nếu cần thiết.

Một bài viết từ Slow Mist cho biết, một hoạt động giả mạo "cập nhật firmware Ledger" đang lợi dụng sự kiện chuỗi cung ứng Ledger gần đây để tấn công. Trang lừa đảo này rất giống thật, bao gồm trang "kiểm tra hàng chính hãng", giao diện chọn thiết bị và nút "cập nhật ngay". Slow Mist nhắc nhở, không nên cập nhật thiết bị Ledger qua liên kết trang web và cũng không nên nhập cụm từ khôi phục ở bất kỳ đâu.

Màn Sương phát hành cảnh báo an ninh cho biết, Aave V3 Loop Safe Module xuất hiện lỗ hổng bảo mật, kẻ tấn công đã giả mạo xác thực Safe và lợi dụng Module tùy ý để thực hiện, từ hai ví đa chữ ký Safe đã đánh cắp khoảng 114.09 ETH.Kẻ tấn công đã giả mạo một Safe luôn trả về giá trị đúng để vượt qua xác thực, và lợi dụng router có thể kiểm soát tùy ý và calldata để thực hiện giao dịch module, chuyển nhượng weETH và tài sản thế chấp Aave. Kẻ tấn công đã hoàn trả khoảng 1300 WETH nợ sau khi mở khóa tài sản thế chấp.

Giám đốc điều hành Bitget Gracy Chen đã đăng bài cho biết, Bitget đang hợp tác với chuyên gia độc lập bên thứ ba Mandiant và Slow Mist để tiến hành điều tra toàn diện về sự cố an ninh của nền tảng này. Nền tảng sẽ tiếp tục công bố những tiến triển mới nhất qua các kênh chính thức.Cô nhấn mạnh rằng việc bảo vệ người dùng là nhiệm vụ hàng đầu hiện nay của Bitget, số dư của người dùng sẽ được giữ nguyên, quỹ bảo vệ người dùng Bitget sẽ bao phủ những ảnh hưởng do sự cố trên nền tảng gây ra. Ví Bitget thuộc về ví tự quản lý, sử dụng cơ sở hạ tầng hoàn toàn tách biệt và độc lập với Bitget Exchange, do đó không bị ảnh hưởng bởi sự cố này.Hiện tại, các chức năng nạp tiền, giao dịch và thưởng của Bitget Exchange vẫn hoạt động bình thường. Chức năng rút tiền sẽ tiếp tục bị tạm ngưng trong thời gian kiểm tra an ninh bổ sung, và sẽ được mở lại càng sớm càng tốt sau khi nền tảng xác nhận có thể khôi phục an toàn.

Manh Vũ MistTrack cập nhật địa chỉ ví hacker Bitget, thêm 7 địa chỉ mạng Ripple, tổng số dư khoảng 102,926,478 XRP, tương đương khoảng 157 triệu USD.Ngoài ra còn bao gồm 11 địa chỉ EVM và 1 địa chỉ TRON. Trong đó, địa chỉ EVM tổng cộng nắm giữ khoảng 67,980.25 ETH, 5896.58 BNB, 495.625 WETH, 218,022.9 USDT và 99,989.9 USDC; địa chỉ TRON nắm giữ khoảng 20,593,376.5 TRX.

Theo cảnh báo an ninh của Slow Fog, chuỗi công cụ trí nhớ AI thuộc MemTensor đã bị xâm nhập. Kho trí nhớ dài hạn mã nguồn mở MemoryOS (PyPI) dành cho LLM và AI Agent cũng như plugin chính thức kết nối với OpenClaw runtime memtensor/memos-cloud-openclaw-plugin (npm) đã bị nhúng mã nhị phân Go đa nền tảng, chương trình độc hại này sẽ được kích hoạt khi gói được tải hoặc nhập.Các phiên bản bị ảnh hưởng bao gồm: MemoryOS==2.34 trên PyPI, cũng như các plugin npm 0.1.21, 0.1.23, 0.1.25. Trong đó, các plugin npm bị ảnh hưởng cũng có thể gây rò rỉ nội dung prompt của người dùng. Slow Fog khuyến nghị thực hiện các biện pháp xử lý sau: gỡ cài đặt hoặc hạ cấp xuống phiên bản an toàn đã biết (npm 0.1.20, PyPI 2.33); chấm dứt tiến trình sckit; chặn các cơ sở hạ tầng liên quan; kiểm tra hoạt động mạng; và thay đổi thông tin xác thực trong môi trường bị ảnh hưởng.

Công ty an ninh blockchain SlowMist, Giám đốc An ninh Thông tin 23pds cho biết, kẻ tấn công đang lợi dụng lỗ hổng Darksword, thông qua Safari để vượt qua cơ chế an ninh iOS, kiểm soát thiết bị và trích xuất khóa riêng cùng các dữ liệu khác từ ví tiền điện tử tự quản. Lỗ hổng này đã được sử dụng để tấn công người dùng ở Ả Rập Saudi, Thổ Nhĩ Kỳ, Malaysia và Ukraine. Nhóm Tình báo Đe dọa Google trước đó đã tiết lộ, Darksword ban đầu chỉ ảnh hưởng đến các phiên bản iOS từ 18.4 đến 18.7.23pds cho biết, kẻ tấn công đã điều chỉnh nó cho iOS 26.5, nhưng đánh giá này vẫn chưa được xác nhận chính thức. Cuộc tấn công thường bắt đầu từ kỹ thuật xã hội, khi người dùng nhấp vào liên kết độc hại được gửi qua mạng xã hội hoặc ứng dụng giao tiếp, thiết bị có thể bị lấy quyền Root và trích xuất dữ liệu ví. Người dùng nên kịp thời cập nhật hệ thống điện thoại, tránh truy cập vào các liên kết trang web do người lạ gửi; ba nhà đầu tư khác đã mất gần 1,8 triệu đô la Bitcoin do tải xuống ứng dụng ví giả từ App Store chính thức của Apple và đã kiện Apple.

Màn Sương phát hành cảnh báo an toàn cho biết, gần đây nhận được nhiều báo cáo về việc tài sản của người dùng FomoPeek bị đánh cắp, qua điều tra chung với đội ngũ an ninh OKX phát hiện, một số người dùng bị ảnh hưởng trước đó đã cài đặt hoặc sử dụng phiên bản FomoPeek 1.1--1.2, ứng dụng liên quan chứa mã độc.Màn Sương cho biết, trong FomoPeek có tồn tại các mô-đun không liên quan đến hoạt động bình thường, trong đó có một mô-đun chứa khung khai thác lỗ hổng kernel dành cho hệ điều hành iOS, hỗ trợ 8 phương thức tấn công khác nhau, có thể tự động chọn phương thức khai thác dựa trên kiểu máy và phiên bản iOS. Các hệ thống bị ảnh hưởng bao gồm iOS 12 đến 18.7 và iOS 26 đến 26.1. Nếu khai thác thành công, ứng dụng có thể vượt qua sandbox của iOS và truy cập, giải mã dữ liệu Keychain, dẫn đến việc lộ khóa riêng, cụm từ ghi nhớ, thông tin đăng nhập và các tệp nhạy cảm khác. Ngoài ra, FomoPeek còn kết nối với các máy chủ ẩn không liên quan đến dịch vụ công khai của nó và có thể nhận lệnh từ xa.Màn Sương cho biết, phân tích lưu lượng rõ ràng mà họ thu thập được cho thấy, các chức năng tấn công liên quan hiện đang ở trạng thái kích hoạt và sẽ tự động chạy định kỳ. Màn Sương khuyên những người dùng đã cài đặt hoặc sử dụng phiên bản FomoPeek 1.1--1.2 nên ngay lập tức kiểm tra xem tài sản có bất thường hay không, tạo khóa riêng và cụm từ ghi nhớ mới trên thiết bị đáng tin cậy chưa từng cài đặt ứng dụng này, và nhanh chóng chuyển tài sản sang tài khoản mới, đồng thời nâng cấp lên phiên bản iOS mới nhất, không tiếp tục sử dụng hoặc cài đặt lại FomoPeek.

Theo cảnh báo an ninh của SlowMist, hợp đồng AtomicQueue của ether.fi đã bị đánh cắp khoảng 15.45 ETH do hàm solve() thiếu kiểm soát truy cập.Kẻ tấn công đã lợi dụng updateAtomicRequest() để tạo ra yêu cầu độc hại, buộc địa chỉ nạn nhân trở thành solver, sau đó AtomicQueue gọi hàm finishSolve của nạn nhân và thực hiện want.transferFrom, lạm dụng quyền ủy quyền ERC-20 đã có của nạn nhân để chuyển tiền. SlowMist đã thông báo riêng cho đội ngũ ether.fi, địa chỉ của kẻ tấn công và địa chỉ hợp đồng lỗ hổng đã được công bố.

Theo cảnh báo của Slow Fog, đã phát hiện hai kẻ tấn công đang sao chép phương pháp tấn công lỗ hổng gần đây của Notional Finance trên chuỗi BSC. Kẻ tấn công đã hoàn thành chuẩn bị ban đầu, sử dụng cùng một mô hình lỗ hổng để tạo ra vị trí fCash độc hại. Hiện tại, cuộc tấn công chưa được thực hiện hoàn toàn, vị trí độc hại đang chờ đến hạn.Một khi đến hạn, kẻ tấn công có thể thanh lý vị trí và rút tài sản từ giao thức. Slow Fog khuyến nghị mạnh mẽ các dự án bị ảnh hưởng ngay lập tức thực hiện các biện pháp giảm thiểu, hoàn thành bảo vệ trước khi vị trí đến hạn.

Theo thông tin từ đội ngũ an ninh Slow Mist, họ đã phát hiện một hoạt động tấn công giả mạo dịch vụ VPS miễn phí, nhắm vào trình duyệt Safari trên iPhone chạy phiên bản iOS 18.4 đến 18.6.2.Kẻ tấn công đã lợi dụng sáu lỗ hổng mang mã DarkSword để hình thành chuỗi tấn công hoàn chỉnh, bao gồm thực thi mã từ xa WebKit, thoát khỏi sandbox và đọc/ghi kernel, có thể lấy được tệp container ứng dụng và dữ liệu chuỗi khóa mà người dùng không hề hay biết, đồng thời ghi lại các đầu vào từ bàn phím khi các ví như imToken, TokenPocket hoặc TronLink đang ở chế độ nền.Đội ngũ Slow Mist cho biết, sáu lỗ hổng trên hiện đã được Apple khắc phục, và cuộc tấn công hiện tại thuộc về việc tái sử dụng chuỗi lỗ hổng n-day. Chỉ việc truy cập vào trang web độc hại không thể chứng minh trực tiếp rằng cụm từ ghi nhớ hoặc khóa riêng đã bị đánh cắp, vẫn cần phải xác minh thông qua việc thu thập chứng cứ từ thiết bị. Khuyến nghị người dùng iOS/iPadOS nhanh chóng nâng cấp hệ thống lên phiên bản 18.7.3 hoặc 26.3 trở lên.